CVE-2023-26049

总结

Jetty 是一个基于 Java 的 Web 服务器和 Servlet 引擎。Jetty 中非标准的 cookie 解析方式可能允许攻击者将 cookie 走私到其他 cookie 中，或通过篡改 cookie 解析机制执行非预期行为。如果 Jetty 看到以 `"`（双引号）开头的 cookie VALUE，它会持续读取 cookie 字符串，直到遇到结束引号——即使遇到分号也是如此。因此，像 `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` 这样的 cookie 头会被解析为一个 cookie，其名称为 DISPLAY_LANGUAGE，值为 b; JSESSIONID=1337; c=d，而不是 3 个独立的 cookie。这具有安全影响，因为如果 JSESSIONID 是 HttpOnly cookie，且 DISPLAY_LANGUAGE cookie 的值被渲染到页面上，攻击者就可以将 JSESSIONID cookie 走私到 DISPLAY_LANGUAGE cookie 中，从而将其窃取。当中间层基于 cookie 实施某些策略时，这一点尤为重要，因此被走私的 cookie 可以绕过该策略，但仍能被 Jetty 服务器或其日志系统看到。此问题已在 9.4.51、10.0.14、11.0.14 和 12.0.0.beta0 版本中得到解决，建议用户升级。目前没有已知的针对此问题的变通方案。

• jetty-9.4.31.v20200723_CVE-2023-26049漏洞利用

  针对 CVE-2023-26049 的利用代码和分析，目标为 Jetty 9.4.31，演示了该 Web 服务器中的一个漏洞，用于安全测试和研究。